Comune di Garðabær: uso di Google Workspace senza garanzie adeguate
- Paese
- Islanda
- Autorità
- autorità di protezione dei dati (Islanda)
- Soggetto
- The municipality of Garðabær
- Settore
- Pubblica amministrazione
- Data della decisione
- 28 novembre 2023
- Notizia dell'EDPB
- 26 aprile 2024
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
Sintesi della decisione
L'autorità islandese per la protezione dei dati ha esaminato l'uso di Google Workspace for Education nelle scuole elementari del Comune di Garðabær, nell'ambito dell'azione coordinata dell'EDPB sul cloud nel settore pubblico. È emerso che i dati degli studenti venivano trattati anche per finalità proprie di Google e che il Comune non ha dimostrato la compatibilità di tale ulteriore trattamento con la finalità originaria, cioè l'istruzione. Sono state riscontrate violazioni di vari articoli del GDPR, tra cui principi di liceità, minimizzazione e limitazione della conservazione, requisiti del contratto di trattamento, valutazione d'impatto e trasferimenti verso gli Stati Uniti senza garanzie appropriate. L'autorità ha ordinato di rendere conformi i trattamenti e ha irrogato una sanzione amministrativa.
Un titolare pubblico che adotta servizi cloud per la scuola deve verificare che il fornitore non usi i dati degli studenti per finalità proprie, prevedere un contratto di trattamento conforme all'art. 28 e completare una valutazione d'impatto prima dell'adozione.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 6 GDPR Liceità del trattamento
- art. 24 GDPR Responsabilità del titolare del trattamento
- art. 25 GDPR Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita
- art. 28 GDPR Responsabile del trattamento
- art. 35 GDPR Valutazione d'impatto sulla protezione dei dati
- art. 44 GDPR ↗ Principio generale per il trasferimento
- art. 46 GDPR ↗ Trasferimento soggetto a garanzie adeguate
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneComune di Arvier
Caso di ente pubblico locale sanzionato per trattamento di dati senza base giuridica adeguata e per mancata valutazione d'impatto, come nel caso islandese.
- PrescrizioneComune di Messina
Caso di comune sanzionato per la mancata stipula dell'accordo con il responsabile del trattamento, requisito centrale dell'art. 28 GDPR.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Icelandic SA: the municipality of Garðabær fined EUR 16 590 for the use of Google Workspace for Education”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.